路由器被黑成跳板，你的服务器为什么遭殃

安全报告显示僵尸网络变种不断更替，主力正是弱口令路由器与摄像头。本文解释这类攻击的原理，并给出设备加固、网络隔离与上游清洗三层应对思路。

最近多家安全机构的报告都提到同一个现象：一批僵尸网络被执法部门打掉之后，新的变种很快补上，而这些僵尸网络的主力成员，正是大量弱口令的家庭路由器、摄像头和录像机。很多人不知道的是，这些被劫持的设备最终打到的，可能就是你的服务器。 原理并不复杂。摄像头和路由器出厂密码简单、固件常年不更新，攻击者用扫描工具批量破解后植入木马，平时潜伏，接到指令就同时向目标发送海量报文或发起DNS放大请求。这类攻击的特点是源头极其分散，几万台设备每人贡献一点流量，汇到目标端就是数G甚至更大的洪水，普通服务器的带宽瞬间被打满，连接表也会被无意义的会话占满。 对中小网站来说，能做的分三层。第一层是管理好自己的设备：办公室和机房里的路由器、摄像头改掉默认密码、关闭公网管理端口、及时升级固件，别让自己的设备变成攻击别人的跳板，这类事件被溯源后同样有麻烦。第二层是网络隔离，监控、打印等IoT设备不要和业务服务器放在同一个网段，避免一台被攻破后横向波及。第三层才是防护，面对来源分散的洪流，单台服务器加防火墙规则基本无效，因为攻击流量在到达服务器之前就已经占满了链路，这类攻击需要在运营商或机房侧的上游做流量清洗，在靠近攻击来源的位置把恶意流量过滤掉。 简单说，IoT僵尸网络不会消失，只会换代。业务越是依赖线上，越要假设自己迟早会被扫到。如果你的服务器承载着游戏、电商这类对可用性敏感的业务，可以把加速IDC的1T高防清洗服务纳入备选方案，平时无感、被打时顶上，比事后救火从容得多。